USA verklagen Ransomware-Fixer für geheime Zahlung von 8 Mio. Dollar

Die am Mittwoch veröffentlichte Anklageschrift wirft Zohar Pinhasi vor, von Juni 2018 bis Juni 2023 einen Betrugsbetrieb geführt zu haben. Er steht unter zwei Anklagen wegen Drahtbetrugs und einer wegen Verschwörung.

Pinhasi betrieb die Firma MonsterCloud. Diese bewarb sich als Experten-Team, das verschlüsselte Daten ohne Zahlung von Lösegeld wiederherstellen kann. Die Website des Unternehmens sprach von „fortgeschrittenen Entschlüsselungstechniken und modernster Technologie“. Laut Staatsanwaltschaft besaß das Unternehmen jedoch keine solchen Werkzeuge. Stattdessen kontaktierten Pinhasi und seine Mitstreiter die Angreifer direkt, zahlten das Lösegeld und behielten die Differenz zwischen dem Betrag für die Kriminellen und der Rechnung an die Opfer. Diese Lücke bildete den Kern des Vorwurfs. Sie verwandelte einen Sicherheitsvorfall in eine private Einnahmequelle für die Unternehmensführung.

Die Diskrepanz war deutlich.

In einem in der Anklage genannten Fall zahlte Pinhasi einem Ransomware-Kollektiv angeblich etwa 8.200 Dollar. Er stellte dem Opfer dann 150.000 Dollar in Rechnung. In einem anderen Vorfall im Oktober 2021 belief sich die Lösegeldzahlung auf rund 236.000 Dollar, während die Kundenrechnung bei etwa 380.000 Dollar lag. Laut The Register summierten sich die Beträge auf über 19 Mio. Dollar an Kundenrechnungen, von denen mehr als 8 Mio. Dollar direkt an Ransomware-Betreiber flossen.

Joseph Nocella Jr., US-Staatsanwalt für den Eastern District of New York, erklärte, Pinhasi habe seine Kunden „erneut geschädigt und dabei einen hohen Gewinn für sich selbst erzielt“. James C. Barnacle Jr., stellvertretender FBI-Direktor, fügte hinzu, Pinhasi habe die Krise der Opfer zu seinem eigenen Profitzentrum gemacht. Pinhasi stellte sich am Mittwoch den Behörden, plädierte auf nicht schuldig und wurde gegen eine Kaution von 2 Mio. Dollar freigelassen.

Der Betrug basierte auf einer spezifischen Täuschung bezüglich der „Recovery Proofs“. BleepingComputer berichtete, dass MonsterCloud entschlüsselte Beispieldateien lieferte, um Opfer davon zu überzeugen, dass ihre Daten sicher seien. Die Anklage legt nahe, dass diese Beispiele von den Ransomware-Betreibern selbst stammten. So wurde die Tatsache, dass ein Lösegeld gezahlt wurde, weiter verschleiert. Einige Verträge gaben an, dass das Unternehmen möglicherweise mit Cyberkriminellen kommunizieren könnte. Die Staatsanwaltschaft argumentiert jedoch, dass die Zusammenarbeit mit Angreifern meist der erste Schritt war, nicht die letzte Option, wie die Verträge vermuten ließen.

Dieser Fall zeigt einen wachsenden Trend im Ransomware-Ökosystem. Die Phase nach dem Vorfall ist zunehmend Ziel von Betrug. Da Ransomware-Angriffe weiter zunehmen, steht das IT-Team unter Druck, schnell wiederherzustellen. Das schafft ein Umfeld, das leicht ausgenutzt werden kann. The Register stellte fest, dass die Website von Pinhasi Testimonials enthielt, darunter von mindestens einem entlohnten Sprecher. Im Mai 2019 kontaktierte dieser Sprecher Pinhasi mit Fragen zu seinen Geschäftspraktiken. Berichten zufolge gab Pinhasi damals zu, dass MonsterCloud keine proprietäre Technologie zur Entschlüsselung von Daten besaß.

Der allgemeine Kontext der Ransomware-Gefahren hat sich in den letzten Monaten verschärft. Laut einem Bericht von Chain Store Age stiegen Ransomware-Angriffe im dritten Quartal um 29 % auf ein neues Quartalsrekordhoch. GuidePoint Security meldete, dass die Zahl der Opfer im Jahresvergleich um 75 % gestiegen ist. Diese Statistiken unterstreichen den Bedarf an starken Backup-Strategien und klaren Incident-Response-Protokollen. Organisationen stellen zunehmend fest, dass ihre Wiederherstellungsoptionen nicht nur durch den ursprünglichen Angriff, sondern auch durch die Akteure, die sie zur Behebung beauftragen, gefährdet sind.

Sicherheitsexperten warnen seit Langem, dass die Ransomware-Wirtschaft über die ursprüngliche Verschlüsselung von Dateien hinausgeht. Die Phase der Zahlung und Verhandlung ist komplex, und Opfer sind oft verzweifelt genug, um Dienste von unbestätigten Anbietern in Anspruch zu nehmen. Der Fall MonsterCloud dient als Warnung vor der Bedeutung der Überprüfung externer Reaktions-Teams. Während die primäre Bedrohung die Ransomware-Gruppe selbst bleibt, führt die sekundäre Schicht der Wiederherstellungsdienste zu eigenen Risiken und Schwachstellen.

Pinhasi drohen bei Verurteilung bis zu 20 Jahre Gefängnis für jede Anklage wegen Drahtbetrugs. Das FBI führt seine Ermittlungen fort. Die Anklageschrift vermerkt, dass es „mehrere Mitverschwörer gibt, deren Identitäten dem Grand Jury sowohl bekannt als auch unbekannt sind“. Der Fall ist Teil eines breiteren Bemühens der Bundespolizei, die Infrastruktur zu zerschlagen, die Ransomware-Betriebe unterstützt, einschließlich der Dienstleister, die sie ermöglichen.

Für Unternehmen ist die Lektion klar: Sorgfalt ist unerlässlich, wenn man während eines Cyber-Vorfalls externe Hilfe einschaltet. Die Grenze zwischen legitimer Wiederherstellung und betrügerischer Ausnutzung kann dünn sein, und die finanziellen Risiken sind hoch. Da industrielle und kritische Infrastruktursektoren weiter steigenden Cyberbedrohungen ausgesetzt sind, ist die Integrität der Reaktionskette genauso wichtig wie die Sicherheit des Netzwerks selbst.